Shorewall Psad firewall: detecção avançada de port scan no Linux

No universo da segurança de perímetro em servidores Linux, a combinação Shorewall Psad firewall ainda se destaca como uma abordagem madura para quem precisa ir além do bloqueio estático de portas. Enquanto firewalls tradicionais apenas aceitam ou descartam pacotes com base em regras, a integração entre o Shorewall e o Psad adiciona uma camada de inteligência ativa na identificação de varreduras de portas, tentativas de fingerprinting e exploração silenciosa. Para administradores de infraestrutura crítica, essa dupla representa um equilíbrio raro entre controle granular, baixo consumo de recursos e resposta automatizada a incidentes.

O problema que motiva este artigo é conhecido de qualquer profissional de TI que opera servidores expostos: port scans acontecem o tempo todo, muitas vezes sem consequências imediatas, mas servem como reconhecimento para ataques maiores. Ferramentas genéricas como UFW ou firewalld protegem portas, porém não interpretam padrões de tráfego malicioso. O Shorewall Psad firewall muda esse cenário ao transformar logs de firewall em inteligência acionável, capaz de bloquear um scanner antes que ele consiga mapear a superfície de ataque completa.

Historicamente, o Shorewall surgiu em 2001 como um front-end para o iptables, organizando regras em zonas, políticas e interfaces de forma legível. O Psad, criado por Michael Rash na mesma época, foi concebido para analisar logs do iptables e detectar padrões de escaneamento com base em assinaturas e limiares. A combinação dos dois tornou-se padrão em gateways Linux voltados para pequenas e médias empresas, ambientes acadêmicos e sistemas embarcados, onde a simplicidade operacional e a previsibilidade contam mais do que interfaces gráficas rebuscadas.

No entanto, 2026 trouxe um mercado fragmentado: nftables substituiu o iptables como padrão em distribuições modernas, ferramentas como CrowdSec e Fail2ban ganharam tração, e plataformas de nuvem oferecem firewalls gerenciados. Mesmo assim, a dupla Shorewall + Psad segue relevante em contextos de legado, compliance e redes isoladas, onde a estabilidade de um modelo testado por décadas supera a tentação de adotar novidades. Este artigo adota um ângulo comparativo, avaliando alternativas e destacando quando essa combinação ainda é a melhor escolha.

Na JRT Technology Solutions, implementamos, desenvolvemos e oferecemos suporte a soluções de segurança baseadas em Linux há mais de uma década. Nossos especialistas utilizam o Shorewall Psad firewall em cenários onde a detecção de port scan precisa ser precisa, auditável e de baixo overhead. Ao longo deste conteúdo, você encontrará comparações técnicas, boas práticas e análises críticas para decidir se essa abordagem faz sentido na sua infraestrutura.

O que é Shorewall Psad firewall e como essa combinação funciona

O Shorewall Psad firewall é, na prática, a união de duas ferramentas independentes que se complementam dentro de um host Linux. O Shorewall é um gerador de regras de firewall que abstrai a complexidade do iptables, permitindo que o administrador descreva zonas, políticas de tráfego e exceções em arquivos de texto simples. Já o Psad (Port Scan Attack Detector) monitora continuamente os logs gerados pelo iptables, identifica sequências suspeitas de conexões e executa ações como bloqueio temporário ou permanente do IP de origem, além de enviar alertas por e-mail.

O fluxo de operação típico começa quando um pacote não correspondente às regras do Shorewall é descartado e registrado via LOG target. O Shorewall adiciona prefixos padronizados como Shorewall:net2fw:DROP ou Shorewall:loc2net:REJECT a essas entradas. O Psad, por sua vez, lê esses logs continuamente, correlaciona pacotes com o mesmo endereço de origem e aplica heurísticas para distinguir tráfego legítimo de varreduras intencionais. Essa abordagem permite detectar não apenas SYN scans, mas também tentativas de Xmas tree, NULL scans e UDP scans, que frequentemente passam despercebidas por firewalls convencionais.

Uma das principais vantagens dessa integração é a resposta ativa. Quando o Psad atinge um limiar de perigo configurado, ele pode inserir automaticamente regras no iptables para bloquear o IP ofensor por um período determinado. Esse mecanismo transforma o Shorewall Psad firewall em um sistema de prevenção de intrusões baseado em host, sem a necessidade de instalar um IDS completo. Isso é especialmente valioso em servidores VPS com recursos limitados, onde cada megabyte de memória e cada ciclo de CPU importam.

Além da detecção, o Psad possui um banco de assinaturas que permite identificar o sistema operacional do scanner a partir de características dos pacotes, como TTL, tamanho de janela TCP e flags. Essa função se assemelha a um fingerprinting passivo, útil para priorizar a resposta a ameaças direcionadas. Na JRT Technology Solutions, nossos especialistas utilizam essa capacidade para correlacionar eventos de varredura com indicadores de comprometimento em ambientes de produção.

• Shorewall: abstração de zonas, políticas e interfaces sobre iptables.
• Psad: detector de port scan baseado em análise de logs e assinaturas.
• Resposta ativa: bloqueio automático de IPs maliciosos via iptables.
• Alertas: notificações por e-mail com detalhes do incidente.

Na prática, a combinação é instalada a partir dos repositórios oficiais da distribuição ou compilada manualmente. O Shorewall lê seus arquivos de configuração em /etc/shorewall e gera scripts de iptables. O Psad é configurado em /etc/psad/psad.conf e se comunica com o daemon psad, que por sua vez monitora /var/log/messages ou /var/log/syslog. A integração exige atenção ao formato do log e aos prefixos, mas uma vez ajustada, opera de forma quase autônoma.

Arquitetura do Shorewall Psad firewall: camadas de defesa e integração

A arquitetura do Shorewall Psad firewall se baseia em um modelo de defesa em camadas que começa na definição de zonas. O Shorewall trabalha com pelo menos três zonas: fw (o próprio firewall), net (a rede externa) e loc (a rede local). Em cenários mais complexos, é possível criar zonas adicionais como dmz para servidores públicos e vpn para túneis criptografados. Cada zona possui políticas que determinam o comportamento padrão do tráfego entre elas, como ACCEPT, DROP ou REJECT.

A camada de logging é fundamental para o funcionamento do Psad. Sem logs detalhados dos pacotes descartados, o detector não tem material para analisar. Por isso, o Shorewall inclui opções como DROP com log level e log prefix em suas regras. O Psad então utiliza expressões regulares internas para extrair campos como IP de origem, IP de destino, porta, protocolo e flags TCP. Essa integração entre o gerador de regras e o analisador de logs é o que torna o Shorewall Psad firewall tão eficaz em ambientes com pouca supervisão humana.

Outro componente arquitetural importante é o daemon psad, que opera em segundo plano e processa eventos em tempo real. Ele pode trabalhar em conjunto com rsyslog ou syslog-ng para receber logs de hosts remotos, ampliando a cobertura para múltiplos servidores. Em redes com mais de um ponto de entrada, é comum centralizar os logs em um servidor de gerência e executar o Psad nesse coletor, permitindo uma visão consolidada dos escaneamentos.

A capacidade de auto-bloqueio do Psad é configurável em níveis de perigo que variam de 1 a 5. O nível 1 representa uma leve suspeita, enquanto o nível 5 indica um ataque ativo de exploração. O administrador pode definir quantos pacotes ou conexões suspeitas são necessários para elevar o nível e por quanto tempo o IP deve ser bloqueado. Em implementações da JRT Technology Solutions, ajustamos esses limiares com base no perfil de tráfego de cada cliente, reduzindo falsos positivos sem abrir mão da segurança.

Por fim, a arquitetura pode ser estendida com ipset para melhorar a performance quando há muitos IPs bloqueados. Em vez de inserir uma regra de iptables para cada endereço malicioso, o Psad pode adicionar o IP a um conjunto ipset, que é consultado em uma única regra. Isso reduz drasticamente o overhead em cenários com centenas de bloqueios simultâneos, mantendo a resposta rápida mesmo sob ataque distribuído.

Comparativo: Shorewall Psad firewall vs. iptables puro, UFW, firewalld e nftables

Para entender o valor do Shorewall Psad firewall, é preciso compará-lo com as alternativas de firewall disponíveis no ecossistema Linux. O iptables puro oferece controle absoluto, mas exige conhecimento profundo de sintaxe, encadeamentos e módulos. Ele não possui detecção de port scan nativa; qualquer análise de varredura precisa ser feita por ferramentas externas ou scripts personalizados. O Shorewall simplifica essa gestão ao mesmo tempo em que mantém a flexibilidade do iptables, acrescentando a camada do Psad.

O UFW (Uncomplicated Firewall) é popular em desktops e servidores Ubuntu pela simplicidade de comandos como ufw allow 22/tcp. Contudo, ele não gera logs estruturados suficientes para que um detector de port scan como o Psad funcione bem, e sua lógica de perfis é limitada para cenários com múltiplas zonas. O firewalld, por outro lado, adota o conceito de zonas dinâmicas e integração com D-Bus, sendo adequado para ambientes com mudanças frequentes de rede, mas também não inclui detecção de varreduras de portas como recurso nativo.

O nftables é o sucessor do iptables e já é o padrão em distribuições como Debian e RHEL 9+. Ele oferece melhor performance, sintaxe unificada e suporte a conjuntos nativos. No entanto, o Psad tradicional foi projetado para interpretar logs do iptables, o que gera atrito em sistemas puramente nftables. Existem adaptações e forks, mas a integração não é tão madura quanto a original. Por isso, o Shorewall Psad firewall ainda depende, em grande parte, do iptables legado ou de camadas de compatibilidade.

A tabela acima mostra que o Shorewall Psad firewall ocupa um nicho específico: ele não é o mais simples nem o mais moderno, mas é o que oferece detecção de port scan integrada sem a necessidade de implantar um IDS completo. Para quem já opera iptables e busca uma camada adicional de proteção com resposta ativa, essa combinação continua imbatível em custo-benefício operacional.

Na JRT Technology Solutions, frequentemente recomendamos essa solução para clientes que precisam de um firewall de borda com auditoria detalhada e baixo consumo de recursos, especialmente em servidores dedicados onde a instalação de um Suricata seria excessiva. A escolha do firewall ideal depende do contexto, mas conhecer as diferenças evita decisões baseadas apenas em modismos.

Detecção de port scan com Psad: assinaturas, thresholds e análise de logs do Shorewall Psad firewall

A detecção de port scan no Shorewall Psad firewall não se limita a contar pacotes. O Psad aplica um conjunto sofisticado de assinaturas que reconhecem padrões específicos de ferramentas como Nmap, hping3 e scanners embarcados em malwares. Por exemplo, um scan do tipo SYN stealth envia pacotes TCP com a flag